标签：java 代码 SQL  安全漏洞 漏洞

java_sec_code
该项目也可以叫做Java Vulnerability Code(Java漏洞代码)。

每个漏洞类型代码默认存在安全漏洞（除非本身不存在漏洞），相关修复代码在注释里。具体可查看每个漏洞代码和注释。

由于服务器到期，在线的Demo网站已不能使用。

登录用户名密码：
admin/admin123
joychou/joychou123

写这个呢是因为我在前面学java的基础漏洞审计的时候，我自己在Typora中的笔记因为图床的问题，做的笔记截图全部都不见了，所以前面的笔记就作废了，然后在做这个项目的漏洞的时候再网上没有找到完整的做题笔记，我就想着自己也做嘛就写一个笔记下来记录自己的java学习过程

项目地址JoyChou93/java-sec-code: Java web common vulnerabilities and security code which is base on springboot and spring security (github.com)

sql
less-1
@RequestMapping("/jdbc/vuln")
    public String jdbc_sqli_vul(@RequestParam("username") String username) {

        StringBuilder result = new StringBuilder();

        try {
            Class.forName(driver);
            Connection con = DriverManager.getConnection(url, user, password);

            if (!con.isClosed())
                System.out.println("Connect to database successfully.");

            // sqli vuln code
            Statement statement = con.createStatement();
            String sql = "select * from users where username = '" + username + "'";
            logger.info(sql);
            ResultSet rs = statement.executeQuery(sql);

            while (rs.next()) {
                String res_name = rs.getString("username");
                String res_pwd = rs.getString("password");
                String info = String.format("%s: %s\n", res_name, res_pwd);
                result.append(info);
                logger.info(info);
            }
            rs.close();
            con.close();


        } catch (ClassNotFoundException e) {
            logger.error("Sorry,can`t find the Driver!");
        } catch (SQLException e) {
            logger.error(e.toString());
        }
        return result.toString();
    }

第一关是一个很基础的sql注入漏洞就是

String sql = "select * from users where username = '" + username + "'";
            logger.info(sql);
            ResultSet rs = statement.executeQuery(sql);
这一段代码，就是基础的就是一个正常数数据库拼接，然后我的数据库里面有admin这个用户直接拼接上去是这样的效果

image-20220921180701810

闭合语句

" + username + "====admin' union select 1,version(),user()--+
还是很简单就简单说一下，从字符串中的'admin' union select 1,2,3--+
修复方式：预编译修复
            String sql = "select * from users where username = ?";
            PreparedStatement st = con.prepareStatement(sql);
            st.setString(1, username);
less-2
@GetMapping("/mybatis/vuln01")
    public List<User> mybatisVuln01(@RequestParam("username") String username) {
        return userMapper.findByUserNameVuln01(username);
    }
mybatis注入，这是一个存在注入语句的

这里可以直接看出来它是一个通过username这个字段去寻找参数值的，但是数据库查询肯定会存在sql语句的执行不可能不存在，这个时候我们追究其原理

直接追踪找到接口

@Select("select * from users where username = '${username}'")
    List<User> findByUserNameVuln01(@Param("username") String username);
我们发现它是用的$符号去活得参数值，这种方式的话是注解配置方案是springboot和spring里面常见的配置方式

Mybatis获取值的方式有两种，分别是${} 和 #{}。这是关于用ssm组合写的框架会存在的sql注入

动态 sql 是 mybatis 的主要特性之一，在 mapper 中定义的参数传到 xml 中之后，在查询之前 mybatis 会对其进行动态解析。mybatis 为我们提供了两种支持动态 sql 的语法：#{} 以及 ${}。

    在下面的语句中，如果 username 的值为 zhangsan，则两种方式无任何区别：

           select * from user where name = #{name};

           select * from user where name = ${name};

    其解析之后的结果均为

           select * from user where name = 'zhangsan';
　 但是 #{} 和 ${} 在预编译中的处理是不一样的。#{} 在预处理时，会把参数部分用一个占位符 ? 代替，变成如下的 sql 语句：

select * from user where name = ?;

而 ${} 则只是简单的字符串替换，在动态解析阶段，该 sql 语句会被解析成

    select * from user where name = 'zhangsan';

以上，#{} 的参数替换是发生在 DBMS 中，而 ${} 则发生在动态解析过程中。
#{}:解析的是占位符问号，可以防止SQL注入，使用了预编译。
${}:直接获取值
还是拼接就i行了

admin' union select 1,@@version，3 --+
image-20220926185431205

修复方案就是用#{},不要使用${}

less-3
# 是通过prepareStatement的预编译的，会对自动传入的数据加一个单引号。
如：order by #{orderBy}，如果传入的时间是 ，则会被解析为 order by ‘update_time’ (这样排序是无效的，这也是为什么不能用#号传参的原因)。

@GetMapping("/mybatis/vuln02")
    public List<User> mybatisVuln02(@RequestParam("username") String username) {
        return userMapper.findByUserNameVuln02(username);
    }
还是老规矩先追下去看

image-20220926191410973

发现没有方法再想一想往上看一看发现一个注解@Mapper注解这个注解的意思就是它有一个映射文件反手翻一翻

image-20220927103517699

然后就发现了这个select语句

<select id="findByUserNameVuln02" parameterType="String" resultMap="User">
        select * from users where username like '%${_parameter}%'
    </select>
追到后面发现一个like，like是模糊查询的意思

简单的插播一下like注入的原理

 like查询时，如果用户输入的值有"_"和"%"，则会出现这种情况：用户本来只是想查询"abcd_"，查询结果中却有"abcd_"、"abcde"、"abcdf"等等；用户要查询"30%"（注：百分之三十）时也会出现问题。
 然后：_parameter是Mybatis的内置参数，代表整个参数
 我们还是直接拼接就可以了
 
 
http://localhost:8080/sqli/mybatis/vuln02?username=admin' union select 1,2,3 --+
image-20220927102725722

考点

通过配置文件的映射直接追踪过来是没有select语句的
less-4
@GetMapping("/mybatis/orderby/vuln03")
    public List<User> mybatisVuln03(@RequestParam("sort") String sort) {
        return userMapper.findByUserNameVuln03(sort);
    }
传入的值变了是个sort，sort是短的，还是追踪sql源码来看看

<select id="findByUserNameVuln03" parameterType="String" resultMap="User">
        select * from users
        <if test="order != null">
            order by ${order} asc
        </if>
    </select>
看到了是order by 然后后面有asc代表的是升序排布，desc是降序排布因为是

拼接语句选择用updataxml吧直接and拼接起来就实现了

**http://localhost:8080/sqli/mybatis/orderby/vuln03?sort=id and (updatexml(1,concat(0x7e,(select version()),0x7e),1))  #
报错语句中就会看到

标签：java,代码,SQL,,安全漏洞,漏洞
来源：

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。